CN109962851B

CN109962851B - 一种实时控制组播源接入的方法及系统

Info

Publication number: CN109962851B
Application number: CN201711422177.0A
Authority: CN
Inventors: 王连朝; 周迪
Original assignee: Zhejiang Uniview Technologies Co Ltd
Current assignee: Zhejiang Uniview Technologies Co Ltd
Priority date: 2017-12-25
Filing date: 2017-12-25
Publication date: 2021-08-31
Anticipated expiration: 2037-12-25
Also published as: CN109962851A

Abstract

本发明公开了一种实时控制组播源接入的方法及系统，SDN控制器根据视频管理服务器下发的组播信息，先下发流表指示组播源对应的SDN交换机生成组播转发表项，然后SDN控制器接收组播接收者对应的SDN交换机转发的组播请求信息，根据视频管理服务器下发的组播信息和接收的组播接收者对应的SDN交换机转发的组播请求信息，计算出组播源对应的SDN交换机的转发交换机端口，更新组播转发表项。本发明的方法及系统，实现了组播源接入的实时安全控制，不需要在边缘交换机上手动配置进行组播源地址限制，使得组播业务配置简单，且对实际的业务不产生影响。

Description

一种实时控制组播源接入的方法及系统

技术领域

本发明属于网络通信技术领域，尤其涉及一种实时控制组播源接入的方法及系统。

背景技术

在监控网络中，通过组播的方式实现实况的传输，很好的解决了多个用户点播同一路摄像头时，业务流量在网络中的带宽占用问题。但组播业务中，无论是PIM协议，还是IGMP协议都没有对组播源进行控制，因此带来的安全隐患就是，不法分子可以通过非法的组播源发送各种非法数据或者仿冒真实的摄像头来进行欺骗。

为了阻止非法的组播源和非法的组播数据。一些网络设备厂家提供了可以在边缘路由器上手动配置进行组播源地址限制的技术，通过该技术可以限制非法的组播源地址的组播数据的接入。

传统的技术手段虽然可以限制非法组播源的数据接入，但存在两个问题：

1、需要网络管理员手动配置，且配置规则比较复杂；

2、配置需要人工来执行，当组播源的限制规则发生变化时，无法实时配置生效，对实际的业务产生影响。

发明内容

本发明的目的是提供一种实时控制组播源接入的方法及系统，用于解决现有技术在阻止非法的组播源和非法的组播数据时，配置复杂，容易对实际的业务产生影响的问题。

为了实现上述目的，本发明技术方案如下：

一种实时控制组播源接入的方法，应用于视频监控系统，实现实时组播，所述视频监控系统包括视频管理服务器，与所述视频管理服务器连接的SDN控制器，以及接入前端设备和客户端的SDN交换机，所述实时控制组播源接入的方法，包括：

SDN控制器根据视频管理服务器下发的组播信息，以及组播源对应的SDN交换机上报的组播源接入的交换机端口信息，下发流表指示组播源对应的SDN交换机生成组播转发表项；

组播接收者对应的SDN交换机接收组播接收者发送的组播请求，解析出组播请求信息发送给SDN控制器；

SDN控制器接收组播接收者对应的SDN交换机转发的组播请求信息，根据视频管理服务器下发的组播信息和接收的组播接收者对应的SDN交换机转发的组播请求信息，计算出组播源对应的SDN交换机的转发交换机端口；

SDN控制器下发转发流表给组播源对应的SDN交换机，以计算出的组播源对应的SDN交换机的转发交换机端口更新组播转发表项。

进一步地，所述根据视频管理服务器下发的组播信息和接收的组播接收者对应的SDN交换机转发的组播请求信息，计算出组播源对应的SDN交换机的转发交换机端口，包括：

将接收的组播接收者对应的SDN交换机转发的组播请求信息与视频管理服务器下发的组播信息进行比较，在匹配到相同的组播接收者信息后，计算出组播源对应的SDN交换机的转发交换机端口，否则不进行操作。

本发明的一种实现方式，所述下发流表指示组播源对应的SDN交换机生成组播转发表项时，所述组播转发表项包括组播源IP地址、组播组IP地址、组播源端口号、播接入交换机端口、转发交换机端口。

本发明的另一种实现方式，所述实时控制组播源接入的方法，还包括：

SDN控制器查询组播源对应的SDN交换机，获取组播源的MAC地址；

所述在下发流表指示组播源对应的SDN交换机生成组播转发表项时，所述组播转发表项中包括组播源MAC地址、组播源IP地址、组播组IP地址、组播源端口号、播接入交换机端口、转发交换机端口。

进一步地，所述实时控制组播源接入的方法，还包括：

SDN控制器接收视频管理服务器在组播源离线后发送的通知信息，下发流表，指示组播源对应的SDN交换机清除组播源对应的组播转发表项。

本发明还提出了一种实时控制组播源接入的系统，应用于视频监控系统，实现实时组播，所述实时控制组播源接入的系统包括视频管理服务器、与所述视频管理服务器连接的SDN控制器、以及接入前端设备和客户端的SDN交换机，其中：

本发明提出的一种实时控制组播源接入的方法及系统，通过监控业务管理服务器，将监控业务中实际的组播发送者的地址和组播地址通知SDN控制器，根据组播转发路径，下发流表在边缘的SDN交换机上生成组播转发表项，在边缘的SDN交换机上对接入的组播源和组播组进行控制，实现了组播接入的安全。本发明的方法及系统，实现了组播源接入的实时安全控制，不需要在边缘交换机上手动配置进行组播源地址限制，使得组播业务配置简单，且对实际的业务不产生影响。

附图说明

图1为本发明实施例视频监控组网示意图；

图2为本发明一种实时控制组播源接入的方法流程图。

具体实施方式

下面结合附图和实施例对本发明技术方案做进一步详细说明，以下实施例不构成对本发明的限定。

软件定义网络SDN(Software Defined Network)是一种新型的网络架构，它的设计理念是将网络的控制平面与数据转发平面进行分离，从而实现对网络资源灵活的按需调配。在SDN网络中，SDN控制器负责收集网络拓扑信息，计算主机所产生的业务报文的转发路径，并生成转发表项；而SDN交换机则根据SDN控制器下发的转发表项进行业务报文的转发。

本技术方案的总体思路是，通过监控业务管理服务器，将监控业务中实际的组播发送者的地址和组播地址通知SDN控制器，在边缘的SDN对接入的组播源和组播组进行控制，实现了组播接入的安全。

在视频监控网络中，存在VM(视频管理服务器)、IPC(前端设备，组播发送者)、PC(客户端，组播接收者)，本实施例如图1所示，在视频监控网路中设置SDN控制器和SDN交换机，同时由SDN控制器和SDN交换机组成网络传输转发。其中VM与SDN控制器进行交互，IPC和客户端分别与边缘的SDN交换机连接。图1的组网仅为一种为了简单对本技术方案进行说明的典型组网结构，此外，在边缘接入位置，有可能是前端IPC通过普通交换机SW接入，然后再接入到SDN交换机，本实施例不限于具体的网络连接方式。

如图2所示，本实施例一种实时控制组播源接入的方法，应用于视频监控系统，实现实时组播，视频监控系统包括视频管理服务器，与所述视频管理服务器连接的SDN控制器，以及接入前端设备和客户端的SDN交换机，该实时控制组播源接入的方法包括：

SDN控制器接收组播接收者对应的SDN交换机转发的组播请求信息，与视频管理服务器下发的组播信息进行比较，在匹配到相同的组播接收者信息后，计算出组播源对应的SDN交换机的转发交换机端口；

具体地，在视频监控系统中，前端设备IPC、客户端等都需要向视频管理服务器进行注册，并定期通过保活信息来保证设备的在线状态。在SDN组网中，边缘的SDN交换机SW1、SW2和SW3在接收到IPC和PC客户端发送的报文消息时，会记录接收到IP地址和对应的交换机端口信息，并把这个对应关系上报给SDN控制器。在SDN控制器上，可以实现对SDN组网的全网拓扑的管理和网络状态的维护，对于SDN控制器来说，组播源接入到SDN交换机的交换机端口是已知的，对于后续转发路径上SDN交换机转发的交换机端口也是已知的。

在没有组播实况业务时，连接IPC的边缘SDN交换机SW1上没有任何组播转发表项。此时，如果有攻击或者仿冒的组播数据经过端口接入到SDN交换机SW1时，因为边缘接入SDN交换机SW1上没有任何组播转发表项，所以，攻击或者仿冒组播的数据不会转发。

当客户端需要点播某个摄像机的组播实况时，PC客户端向VM发起实况申请，并携带自己的接收地址和实况接收端口。

VM服务器收到客户端的实况申请后，查询摄像机的在线状态，如摄像机不在线，则直接返回实况失败。如果摄像机在线，则向摄像机查询支持的组播组地址、源端口。

VM将组播信息，包括摄像机IPC地址、组播组地址、源端口号、客户端地址、客户端端口号通知SDN控制器。

SDN控制器收到VM下发的组播信息后，指示边缘SDN交换机生成组播转发表项((S,G)表项)，用于维护转发流表。

(S，G)表项组成如下：

(组播源IP地址、组播组IP地址，组播源端口号

源接入交换机端口：list

转发交换机端口：list)

如图1所示，假设IPC的地址是192.168.10.5，组播组地址是225.1.1.1源端口号为22346；源接入交换机端口为：port2；转发交换机端口，在没有生成转发流表时，为空null。其中，源接入交换机端口是组播源(IPC)接入到SDN交换机时对应的SDN交换机的port口，转发交换机端口是SDN交换机转发组播源的组播流时的转发port口。

由于边缘的SDN交换机SW1、SW2和SW3在接收到IPC和PC客户端发送的报文消息时，会记录接收到IP地址和对应的SDN交换机端口信息，并把这个对应关系上报给SDN控制器(即上报组播源接入的交换机端口信息、以及组播源IP地址)，SDN控制器已知组播源接入到SDN交换机的源接入交换机端口为port2，因此设定源接入交换机端口为port2。由于视频监控系统的客户端有多个，在不知道是哪个客户端来组播请求时，在最初生成的(S，G)表项中，转发交换机端口为空。

例如SDN交换机SW1生成的(S，G)表项如下：

(192.168.10.5，225.1.1.1，22346

源接入交换机端口：port2

转发交换机端口：空)

当有PC客户端需要进行实况查看，发送组播请求IGMP信息。例如在边缘SDN交换机SW3上的客户端发送该IGMP消息后，SDN交换机SW3收到IGMP信息，将IGMP信息进行解析，解析出组播请求信息，包括组播接收者的IP地址和组播组地址，并将接收者的IP地址和组播组地址发送给SDN控制器进行判断，SDN控制器将接收者的IP地址和组播组地址与VM服务器通知的客户端地址及组播组地址进行匹配。

SDN控制器上有VM下发的组播信息，在收到SW3上报的客户端的接收者的IP地址和组播组地址后，进行匹配。会发现已经有客户端的接收地址和组播组地址，则匹配成功，匹配不成功则不进行操作。

在匹配成功后，由于SDN控制器对SDN组网的全网拓扑的管理和网络状态的维护，可以计算出SW1到SW3的转发交换机端口，假设经过计算得到转发交换机端口为port4，则下发转发流表给边缘SDN交换机SW1，更新(S,G)表项的转发交换机端口为port4。

更新(S，G)表项如下：

(192.168.10.5，225.1.1.1，22346

源接入交换机端口：port2

转发交换机端口：port4)

从而，SDN交换机SW1上生成了组播转发表项，按照该组播转发表项对组播进行转发，SW3收到组播流，提供给客户端进行显示，实现了实况组播。

需要说明的是，具体的SDN交换机内部组播转发实现，可以根据SDN控制器计算的路径逐跳下发流表实现。计算转发路径在SDN控制器上有相应成熟的应用，基本的原则是，根据起始端地址的SDN交换机，到目的端地址的SDN交换机，根据带宽、权重、跳数等计算出最优的转发路径。因为已经有较为成熟的方案，所以这里不再赘述。

例如，SDN交换机SW1到SW3的转发路径，可以是SW1-SW3，或者SW1-SW2-SW3，假设根据带宽、权重、跳数等计算出最优的转发路径为SW1-SW2-SW3，则发现SW1与SW2连接的交换机端口为port4，因此计算出SDN交换机SW1的转发交换机端口为port4。SDN控制器下发转发流表给组播源对应的SDN交换机SW1，以计算出的组播源对应的SDN交换机的转发交换机端口port4更新组播转发表项。

此时，当有攻击/伪冒者发送与(S,G)表项中源地址不同的组播数据时，因为不匹配对应的转发流表，所以攻击伪冒数据不会被转发。

本技术方案的又一实施例，在摄像机IPC初始注册上线时，SDN控制器还查询边缘SDN交换机，获得摄像机IPC的MAC地址。

则在SDN控制器下发流表指示组播源对应的SDN交换机生成组播转发表项时，边缘SDN交换机设备上建立包含源MAC的(S,G)流表，包含源MAC的(S,G)流表设计如下：

(源MAC：00:0f:e2:15:b1:86，IP：192.168.10.5，组播地址：225.1.1.1，源端口号：22346

源接入交换机端口：port2

转发交换机端口：port4)

从而，只有符合流表的数据才能进行转发，避免非法组播源仿冒摄像机发送非法组播流。

本技术方案的又一实施例，一种实时控制组播源接入的方法，还包括：

当伪造或者攻击者，完全仿冒源摄像机的MAC地址、IP地址时，此时在源端的SDN交换机设备上会出现IP或者MAC地址冲突，此时攻击者需要将原有的摄像机切断使其不能接入网络。当摄像机不能接入网络时，VM会因为在保活周期内未收到保活信息而使其离线，该摄像机离线时，VM会通知SDN控制器更新组播转发流表，SDN控制器下发新的转发流表，将组播转发表项清除，此时攻击者的数据不能转发。

与上述方法对应的，本技术方案还给出了一种实时控制组播源接入的系统的实施例，该实时控制组播源接入的系统应用于视频监控系统，实现实时组播，所述实时控制组播源接入的系统包括视频管理服务器、与所述视频管理服务器连接的SDN控制器、以及接入前端设备和客户端的SDN交换机，其中：

容易理解的是，本实施例实时控制组播源接入的系统中SDN控制器、SDN交换机如何进行交互，在SDN交换机上生成组播转发表项，进行组播源控制，已经在方法的实施例中进行了详细的说明，这里不再赘述。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims

1.一种实时控制组播源接入的方法，应用于视频监控系统，实现实时组播，其特征在于，所述视频监控系统包括视频管理服务器，与所述视频管理服务器连接的SDN控制器，以及接入前端设备和客户端的SDN交换机，所述实时控制组播源接入的方法，包括：

SDN控制器根据视频管理服务器下发的组播信息，以及组播源对应的SDN交换机上报的组播源接入的交换机端口信息，下发流表指示组播源对应的SDN交换机生成组播转发表项，所述组播转发表项包括组播源IP地址、组播组IP地址、组播源端口号、源接入交换机端口、转发交换机端口，所述转发交换机端口为空；

2.如权利要求1所述的实时控制组播源接入的方法，其特征在于，所述根据视频管理服务器下发的组播信息和接收的组播接收者对应的SDN交换机转发的组播请求信息，计算出组播源对应的SDN交换机的转发交换机端口，包括：

3.如权利要求1所述的实时控制组播源接入的方法，其特征在于，所述实时控制组播源接入的方法，还包括：

所述在下发流表指示组播源对应的SDN交换机生成组播转发表项时，所述组播转发表项中包括组播源MAC地址、组播源IP地址、组播组IP地址、组播源端口号、源接入交换机端口、转发交换机端口。

4.如权利要求1所述的实时控制组播源接入的方法，其特征在于，所述实时控制组播源接入的方法，还包括：

5.一种实时控制组播源接入的系统，应用于视频监控系统，实现实时组播，其特征在于，所述实时控制组播源接入的系统包括视频管理服务器、与所述视频管理服务器连接的SDN控制器、以及接入前端设备和客户端的SDN交换机，其中：

6.如权利要求5所述的实时控制组播源接入的系统，其特征在于，所述SDN控制器根据视频管理服务器下发的组播信息和接收的组播接收者对应的SDN交换机转发的组播请求信息，计算出组播源对应的SDN交换机的转发交换机端口，执行如下操作：

7.如权利要求5所述的实时控制组播源接入的系统，其特征在于，所述SDN控制器还用于查询组播源对应的SDN交换机，获取组播源的MAC地址；

所述SDN控制器在下发流表指示组播源对应的SDN交换机生成组播转发表项时，所述组播转发表项中包括组播源MAC地址、组播源IP地址、组播组IP地址、组播源端口号、源接入交换机端口、转发交换机端口。

8.如权利要求5所述的实时控制组播源接入的系统，其特征在于，所述SDN控制器还用于接收视频管理服务器在组播源离线后发送的通知信息，下发流表，指示组播源对应的SDN交换机清除组播源对应的组播转发表项。